PaperCut unter Beschuss: Zero-Day ausgenutzt, Notfall-Patch und Anweisung, die Server zu isolieren

PaperCut Software hat am 28. August 2026 eine Zero-Day-Schwachstelle in seinen Druckmanagement-Produkten PaperCut NG und PaperCut MF gemeldet, die bereits in realen Angriffen ausgenutzt wird. Die Sicherheitslücke hat noch keine CVE-Kennung und der Hersteller hat keine technischen Details veröffentlicht. Er hat jedoch bestätigte Vorfälle bei Kunden bestätigt und Notfall-Patches veröffentlicht, mit der Aufforderung, diese sofort zu installieren.

Das Unternehmen empfiehlt außerdem, die PaperCut Application Server vom Internet zu trennen und den Zugriff auf vertrauenswürdige IPs zu beschränken. Auch ohne verdächtige Aktivitäten müssen die Web-Schnittstellen durch Firewall-Regeln oder gleichwertige Netzwerkkontrollen geschützt werden.

Die Untersuchung läuft: Das Sicherheitsbulletin wird mit Kompromittierungsindikatoren und Behebungsanweisungen aktualisiert, sobald verifizierte Informationen verfügbar sind.

Eine Schwachstelle ohne Details, aber mit bestätigter Ausnutzung

Derzeit sind die genauen betroffenen Versionen der neuen Zero-Day-Schwachstelle nicht bekannt. PaperCut hat weder Angriffsvektor, Schweregrad noch Zuordnung genannt. Sicher ist jedoch, dass die Schwachstelle bereits gegen reale Infrastrukturen eingesetzt wird: Der Hersteller spricht von „bestätigten Vorfällen“ bei Kunden.

Die Empfehlung, die dem Internet ausgesetzten Server zu isolieren, ist ein starkes Signal. Es handelt sich nicht um eine generische Präventivmaßnahme, sondern um eine operative Anforderung an alle, die einen PaperCut Application Server betreiben, der von außen erreichbar ist. Der Rat gilt auch dort, wo keine verdächtige Aktivität beobachtet wurde: Angreifer könnten bereits die Kontrolle übernommen haben, ohne offensichtliche Spuren zu hinterlassen.

Die Notfall-Patches wurden am Freitag verteilt (das genaue Datum wurde nicht bekannt gegeben) und der Hersteller fordert die sofortige Installation. Wer nicht sofort aktualisieren kann, muss zumindest den Web-Zugriff auf interne oder vertrauenswürdige IP-Adressen beschränken.

Die beiden früheren CVEs: Authentifizierungsumgehung und Ransomware

Die neue Schwachstelle reiht sich in eine bereits bekannte Serie ein. PaperCut war 2023 Ziel von mindestens zwei dokumentierten kritischen Schwachstellen, die beide im KEV-Katalog der CISA geführt und in Ransomware-Kampagnen ausgenutzt wurden.

Die erste, CVE-2023-27350, hat einen CVSS-Wert von 9,8. Sie ermöglicht einem entfernten Angreifer, die Authentifizierung bei betroffenen Installationen von PaperCut NG 22.0.5 (Build 63914) zu umgehen. Die Schwachstelle liegt in der Klasse SetupCompleted und wird durch eine unzureichende Zugriffskontrolle (CWE-284) verursacht. Wer sie ausnutzt, kann beliebigen Code im SYSTEM-Kontext ausführen, der höchsten Privilegstufe unter Windows. Die CISA hat sie am 21. April 2023 in den KEV aufgenommen, mit einer Behebungsfrist für US-Bundesbehörden bis zum 12. Mai 2023.

Die zweite, CVE-2023-27351, hat einen CVSS-Wert von 7,5. Auch sie ermöglicht die Umgehung der Authentifizierung, aber die Auswirkung beschränkt sich auf das Auslesen von Informationen (hohe Vertraulichkeit, Integrität und Verfügbarkeit nicht beeinträchtigt). Die Schwachstelle liegt in der Klasse SecurityRequestFilter und ist auf eine fehlerhafte Implementierung des Authentifizierungsalgorithmus (CWE-287) zurückzuführen. Die CISA hat sie am 20. April 2026 in den KEV aufgenommen, mit einer Frist bis zum 4. Mai 2026. Für diese Schwachstelle schreibt die Behörde vor, die Abhilfemaßnahmen gemäß den Anweisungen des Herstellers anzuwenden, die BOD-22-01-Anleitung für Cloud-Dienste zu befolgen oder das Produkt nicht mehr zu verwenden, wenn keine Abhilfemaßnahmen verfügbar sind.

Beide CVEs betreffen PaperCut MF und NG in Versionen vor 20.1.7. Die NVD-Datenbank nennt PaperCut NG 22.0.5 (Build 63914) als Beispiel einer betroffenen Installation. Es ist wichtig, diese Schwachstellen nicht mit der neuen Zero-Day zu verwechseln: Es handelt sich um getrennte Ereignisse, aber sie zeigen, dass PaperCut-Produkte im Visier von Angreifern stehen, die in der Lage sind, eine Authentifizierungsumgehung in einen vollständigen Systemzugriff zu verwandeln.

Wer steckt dahinter: Lace Tempest und mit dem Iran verbundene Gruppen

Die Aktivität auf PaperCut ist nicht neu. Im Mai 2023 hatte Microsoft gewarnt, dass mit dem Iran verbundene APT-Gruppen CVE-2023-27350 gegen PaperCut MF/NG-Server ausnutzten. Kurz zuvor, im April 2023, hatte Microsoft die Angriffe, die CVE-2023-27350 und CVE-2023-27351 ausnutzten, einem finanziell motivierten Akteur namens Lace Tempest zugeordnet, der zuvor als DEV-0950 bekannt war.

Lace Tempest wird als Affiliate der Ransomware Clop beschrieben, derselben Gruppe, die bereits mit den GoAnywhere-Angriffen und der Raspberry Robin-Infektion in Verbindung gebracht wurde. Seit dem 13. April 2023 soll Lace Tempest die PaperCut-Exploits in ihr Arsenal aufgenommen haben. Die Verwendung dieser Schwachstellen in Ransomware-Kampagnen erklärt die Präsenz im KEV-Katalog: Die CISA betrachtet sie als aktiv ausgenutzt und nicht nur als akademische Hypothese.

Für die neue Zero-Day gibt es noch keine Zuordnung. Der Hersteller hat keine Akteure oder Kampagnen genannt. Es ist jedoch ratsam, die Tatsache zu berücksichtigen, dass PaperCut-Produkte bereits als Vektor für Ransomware und Spionage verwendet wurden: Wer sie dem Internet aussetzt, trägt ein konkretes, nicht bloß theoretisches Risiko.

Kompromittierungsindikatoren, auf die in den Logs zu achten ist

PaperCut hat einige vorläufige Indikatoren veröffentlicht, um Kunden zu helfen, festzustellen, ob sie betroffen sind. Es handelt sich nicht um definitive Signaturen, sondern um Signale, die überprüft werden sollten.

Der erste betrifft die ausführbare Datei pc-app.exe. Intrusion Detection-, Endpoint Security- oder Netzwerk Monitoring-Tools können verdächtige Aktivitäten im Zusammenhang mit diesem Prozess melden. Ungewöhnliche Aktivitäten von pc-app.exe sollten untersucht werden, insbesondere wenn sie von Netzwerkverbindungen zu unerwarteten Zielen begleitet werden.

Das zweite Signal betrifft die Log-Dateien. Angreifer können die server.log-Dateien von PaperCut löschen, kürzen oder verändern, um ihre Spuren zu verwischen. Wenn ein PaperCut-Server fehlende, unerklärlich kurze oder veränderte Logs aufweist, ist das ein Alarmzeichen.

Im server.log können bestimmte Zeichenfolgen auftreten, wie zum Beispiel:

• ERROR No suitable driver found for jdbc:no:x
• ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST

Diese Zeichenfolgen sind im normalen Betrieb nicht üblich. Ihr Auftreten, zusammen mit anderen Signalen, kann auf einen Ausnutzungsversuch oder bereits erfolgten Zugriff hindeuten.

Sofortige Maßnahmen: Patch, Isolierung, Überwachung

Die zu ergreifenden Maßnahmen sind klar und sollten in der angegebenen Reihenfolge ausgeführt werden.

1. Notfall-Patches anwenden. PaperCut hat die Korrektur-Updates veröffentlicht. Wer dies noch nicht getan hat, muss es jetzt tun.
2. Application Server isolieren. Wenn der Server aus dem Internet erreichbar ist, muss er getrennt oder auf vertrauenswürdige IPs beschränkt werden. Diese Maßnahme gilt auch für diejenigen, die keine verdächtige Aktivität beobachtet haben.
3. Logs und Indikatoren prüfen. Die Integrität von server.log überprüfen, nach den ungewöhnlichen Zeichenfolgen suchen und pc-app.exe überwachen.
4. Für Benutzer alter Versionen. Wer PaperCut MF oder NG in Versionen vor 20.1.7 betreibt, muss ohnehin aktualisieren: Diese Versionen sind den beiden früheren CVEs ausgesetzt, die bereits in Ransomware-Angriffen ausgenutzt wurden. Die CISA-Fristen für US-Bundesbehörden sind für beide CVEs bereits abgelaufen: 12. Mai 2023 für CVE-2023-27350 und 4. Mai 2026 für CVE-2023-27351. Aber die Aktualisierungspflicht gilt für alle, nicht nur für den öffentlichen Sektor.
5. BOD-22-01-Anleitung für Cloud-Dienste befolgen, wenn PaperCut in Cloud-Umgebungen verwendet wird. Wenn keine Abhilfemaßnahmen verfügbar sind, empfiehlt die CISA, das Produkt nicht mehr zu verwenden.

Die neue Zero-Day hat noch keine CVE, aber die Reaktion des Herstellers und die Empfehlung, die Server zu isolieren, deuten auf eine konkrete Bedrohung hin. Wer einen PaperCut-Server im Internet betreibt, sollte nicht auf technische Details warten, um zu handeln. Die Patches sind da, und die Eindämmungsmaßnahmen erfordern nichts weiter als Netzwerkbeschränkungen.

Die Geschichte von PaperCut zeigt, dass eine Authentifizierungsumgehung zu Codeausführung und Ransomware führen kann. Das Fenster der Exposition muss jetzt geschlossen werden.